Автор Тема: QIP Infium официально ворует пароли и собирает приватную информацию  (Прочитано 2072 раз)

0 Пользователей и 1 Гость просматривают эту тему.

bear

  • Гость
отсюда: http://forum.ixbt.com/topic.cgi?id=15:61933
---
Так как 99% пользователей, о такой "особенности сервиса" данного ИМ просто не предупреждены и не подозревают, то иначе как воровством я это назвать не могу.

Недавно чисто случайно узнал, что qip infium при настройках по умолчанию пересылает данные обо всех учетных записях( icq, mail.ru агент, и других сервисах подключенных через него) на свой сервер storage.qip.ru.
В эти данные входят учетные записи, ПАРОЛИ к ним, а также некие настройки. Начиная с билда 9018, он даже отказывается вообще загружаться, если не сможет связаться со своим сервером (к примеру, если ему перекрыть доступ к storage.qip.ru в брандмауэре)

99% пользователей об этом просто не догадываются, так как информацию об этом разработчики не афишируют, а что бы найти и отключить соответсвующую опцию, нужно копаться в настройках, и сделать это можно только после первого запуска, когда персональные данные об учётных записях уже отосланы на сервер.

Кто-нибудь интересовался подробней эти вопросом? Есть люди, которые пытались анализировать какую именно персональную информацию qip передаёт на свой сервер, или остается пологаться на слова разработчиков?

Потому что если уж они без ведома пользователей все пароли себе присваивают, то от них всего можно уже ожидать.
---
с официального сайта.

вот ответ разработчика на официальном форуме:

вопрос: какие персональные данные qip пересылает на свой сервер?

ответ: все включенные учетные записи и их настройки (настройки подключения, дополнительные опции). Пароли к ним, если стоит соотетствующая галка. И метаконтакты (какой контакт с каким сцеплен и в какой последовательности). Отсылаемые данные отсылаются бинарным шифрованным потоком.

замечу, что галка насчет паролей стоит по умолчанию.
тоесть, официально они это не скрывают, но и не афишируют. так что эта фича вполне регламентированая.
интересно, а какие тогда нерегламентированые?
---
от себя, не удивлен, давно уже отказался от QIP и пользуюсь или Miranda или qutIM(от Pidgin отказался из за того что он начал жрать слишком памяти на моих почти тыщи контактах)


bear

  • Гость
отсюда: http://www.rzn.info/news-federal/internet/29086
---
Официальный интернет-портал программы для обмена мгновенными сообщениями QIP был повторно взломан. В отличие от первой атаки, когда хакеры не меняли структуры главной страницы, а только внесли изменения в наполнение сайта, на этот раз злоумышленники пошли еще дальше.

Сегодня ночью qip.ru был полностью видоизменен: глазам посетителей предстало сообщение неизвестных авторов, скрашенное мрачным изображением персонажа из триллера «Пила». В своем послании они настоятельно советуют пользователям прекратить использовать мессенджер QIP Infium, так как он по умолчанию хранит пароли на своих серверах, из-за чего важные данные могут попасть в руки «плохих людей».

«Доброжелатели», так и не назвавшие своих имен, оставили пользователям последний шанс, правда, так и не назвав сроков и условий своего загадочного ультиматума. В качестве альтернативы робин гуды предложили пользователям перейти на протокол Jabber и IM-мессенджер Miranda (и Miranda, и Jabber являются свободными для распространения и используют открытые исходные коды).

Совершенно непонятно, какую истинную цель преследовали хакеры. Даже несмотря на то, что они осознанно предлагали пользователям перейти на конкретные технологии и программы, маловероятно, что эта акция имеет какое-либо отношение к Miranda или Jabber. Скорее всего, подобная травля имеет «благотворительные» цели: уберечь или хотя бы проинформировать посетителей о потенциальной опасности.

Стоит отметить, что хотя злоумышленники и используют зловредные методы, чтобы донести свои слова до широкой общественности, их слова небезосновательны. Так, вместо обращения в своем письме они используют номер ICQ посетителя сайта, что лишний раз доказывает, что технологии хранения пользовательских данных сайта qip.ru несовершенны.

Как и в прошлый раз, последствия атаки были оперативно устранены и сейчас главная страница ресурса нормально функционирует. Правда, разработчики QIP умалчивают об инциденте – последняя запись в разделе подфорума «От администрации» датирована февралем 2009 года.

Оффлайн roggi

  • Ветеран
  • *****
  • Сообщений: 1947
  • Карма: 170
  • Пол: Мужской
  • Люди интеллигентных профессий)))
    • Просмотр профиля
Что-то как-то я не испугался
"Товарищи, мы теряем свой моральный облик!" (х/ф Зигзаг удачи)

Оффлайн Berg

  • VIP
  • Ветеран
  • *****
  • Сообщений: 4527
  • Пол: Мужской
  • I WANT TO BELIEVE
    • Просмотр профиля
Да да да, ещё и историю можно хранить на их серваке. Была уже буча по этому поводу и вроде теперь эта функция по умолчанию выключена. И кстати об этом сообщалось в списке изменений нового билда. Мне вот интересно, какие такие особо секретные данные могут попасть в руки злоумышленников, а самое главное зачем это QIPовцам?
Take the risk of thinking for yourself, much more happiness, truth, beauty, and wisdom will come to you that way.

Беня

  • Гость
а ещё эти микроблоги!

Оффлайн go

  • Постоялец
  • ***
  • Сообщений: 192
  • Карма: -6
  • Пол: Мужской
    • Просмотр профиля
а это только infiuma касается или и qip2005 ?



bear

  • Гость
насколько я понял - infium
хотя в последний версиях старого клиента может быть такое появится...

Оффлайн L!$

  • Ветеран
  • *****
  • Сообщений: 1995
  • Карма: 477
  • Пол: Мужской
  • Хочу карму 1488
    • Просмотр профиля
насколько я понял - infium
хотя в последний версиях старого клиента может быть такое появится...
8094 уже выложен на их сайте.
Чет не понял чего такого секретного отсылает квип? А пароль всегда через сайт ICQ.com можно вернуть, если что.

Оффлайн Hitokiri_Rid

  • VIP
  • Ветеран
  • *****
  • Сообщений: 3422
  • Пол: Мужской
    • Просмотр профиля
Ну если вас устраивает, что ваши логины/пароли и контакты, а может и еще чего, хранятся на каком-то сервере у посторонних личностей - это уже не лечится.
Fallit et attollit vires in milite causa.

Оффлайн L!$

  • Ветеран
  • *****
  • Сообщений: 1995
  • Карма: 477
  • Пол: Мужской
  • Хочу карму 1488
    • Просмотр профиля
Ну если вас устраивает, что ваши логины/пароли и контакты, а может и еще чего, хранятся на каком-то сервере у посторонних личностей - это уже не лечится.
Серия номер паспорта например, местро прописки, работы/учебы, ога. Сомневаюсь че то, что квип еще с компа может инфу стянуть.

bear

  • Гость
скриншеты экрана, кейлогер на разнообразных банковских сайтах, в онлайн игрушках, было бы желание... преценденты о сборе инфы есть, сцылки я давал...

зыж на счет того что востановить через icq.com
лехко, информация отправляется о номере, пароле и емейле
если емаил на маил ру/гугл.талк и используется в инфиниуме какойнить маил агент или гугл талк? пароли сплавляются разработчкам, тоесть они имеют доступ и на почту, и как с заблоченной почтой восстановить пароль?

bear

  • Гость
продолжим :) http://forum.qip.ru/showthread.php?t=31994 и http://defl.blog.ru/40712755.html
---
21 января 2009 года ряд пользователей QIP Infium получили письма следующего содержания

Здравствуйте, !

Вы в одном шаге от завершения регистрации на alitvinenko.vspomni.devrelax.rbc.ru.

Для подтверждения регистрации просто перейдите по ссылке
http​://alitvinenko.vspomni.devrelax....f0b:xxx​@qip.ru
или скопируйте ее в адресную строку браузера и нажмите ввод.

Ваши регистрационные данные:

    Логин: ххх​@qip.ru
    Пароль: yyy

Если Вы не подавали заявку на регистрацию, проигнорируйте это письмо - возможно, кто-то совершил ошибку.

Сайт alitvinenko.vspomni.devrelax.rbc.ru

Вы подписаны на получение сообщений от сайта alitvinenko.vspomni.devrelax.rbc.ru.

Мы стараемся, чтобы Вы получали только полезную информацию.
Вы можете сами выбрать нужные Вам сообщения или отказаться от подписки в настройках.
© 2008 alitvinenko.vspomni.devrelax.rbc.ru

При этом в качестве логина и пароля были приведены реальные логин и пароль пользователя на qip.ru.

Из чего можно сделать вывод, что:

   1. Пароли к qip.ru хранятся в базе данных в открытом виде:
   2. Доступ к базе данных с паролями имеют многие проекты РБК, а не только команда разработчиков QIP.
---
идем дальше
---
Вкратце: на сайте http://mblogi.qip.ru постятся статусы пользователей джаббера с сервера квипа без ведома юзеров. Позиционируется это как «сервис ориентированный на пользователей, предпочитающих умещать события своей жизни в короткие и емкие фразы», при этом происхождение сего ёмкого контента не раскрывается. Свои статусы можно посмотреть, подставив в конец ссылки http://mblogi.qip.ru/people/ свой логин.

Оффлайн L!$

  • Ветеран
  • *****
  • Сообщений: 1995
  • Карма: 477
  • Пол: Мужской
  • Хочу карму 1488
    • Просмотр профиля
Подставил:

Мой юный друг, спросивший о странице!
Неумолимо время. И былых
Страниц теперь уж нет на тех местах,
Где ранее цвели, подобно хмелю!

Еггог ЧОЧ "Сказание о Ноте Фаунде"